{"id":8689,"date":"2026-11-13T05:01:08","date_gmt":"2026-11-13T04:01:08","guid":{"rendered":"https:\/\/evertrust.se\/iso-27001-vs-iso-27701\/"},"modified":"2026-11-13T05:01:09","modified_gmt":"2026-11-13T04:01:09","slug":"iso-27001-vs-iso-27701","status":"publish","type":"post","link":"https:\/\/evertrust.se\/en\/iso-27001-vs-iso-27701\/","title":{"rendered":"ISO 27001 och ISO 27701: skillnaderna och n\u00e4r ni beh\u00f6ver b\u00e5da"},"content":{"rendered":"<\/p>\n<p>ISO\/IEC 27001 \u00e4r standarden f\u00f6r att styra informationss\u00e4kerheten i hela verksamheten. ISO\/IEC 27701 \u00e4r standarden f\u00f6r att styra hur ni hanterar personuppgifter, som personuppgiftsansvarig eller personuppgiftsbitr\u00e4de. Den f\u00f6rsta skyddar informationen. Den andra skyddar de m\u00e4nniskor som informationen handlar om. Sedan 2025 g\u00e5r ISO 27701 att certifiera sig mot frist\u00e5ende, men de flesta organisationer som behandlar personuppgifter i st\u00f6rre skala har nytta av b\u00e5da, i ett gemensamt ledningssystem. Det som avg\u00f6r om certifikaten blir n\u00e5got mer \u00e4n ett papper \u00e4r att ni kopplar s\u00e4kerhetsarbetet till GDPR:s juridiska krav. Den kopplingen \u00e4r ocks\u00e5 det sv\u00e5raste steget.<\/p>\n<div data-blg-cta=\"after_tldr\" data-blg-cta-layout=\"split\" style=\"margin:28px 0;font-family:-apple-system, BlinkMacSystemFont, &apos;Segoe UI&apos;, Roboto, Helvetica, Arial, sans-serif\">\n<div style=\"border-radius:26px;padding:min(22px,3.2vw);background:radial-gradient(circle at 100% 0%,#d9ebd8 0 150px,rgba(255,255,255,0) 151px),radial-gradient(circle at 0% 100%,#d9ebd8 0 130px,rgba(255,255,255,0) 131px),linear-gradient(180deg,#e6f2e5 0%,#f2f8f2 100%)\">\n<div style=\"background:#ffffff;border-radius:18px;overflow:hidden\">\n<div style=\"display:flex;flex-wrap:wrap\">\n<div style=\"flex:1 0 36%;min-width:220px;padding:30px 76px 30px 26px;color:#ffffff;background:linear-gradient(104deg,#164613 0%,#0d2a0b 82%,rgba(0,0,0,0) 82.15%)\">\n<div style=\"margin:0 0 14px\"><span style=\"display:inline-block;max-width:100%;border-radius:999px;padding:6px 13px;font-size:12px;font-weight:800;letter-spacing:0.1em;text-transform:uppercase;line-height:1.3;background:#ffffff;color:#1b5718\">Evertrust<\/span><\/div>\n<div style=\"font-size:12px;opacity:0.75\">evertrust.se<\/div>\n<\/div>\n<div style=\"flex:999 1 300px;min-width:0;padding:30px 28px\">\n<div style=\"font-size:23px;font-weight:800;line-height:1.2;letter-spacing:-0.01em;color:#1f2937;margin:0\">Knyt ihop informationss\u00e4kerhet och GDPR<\/div>\n<div style=\"width:56px;height:6px;border-radius:3px;background:#2D8F27;margin:12px 0 14px\"><\/div>\n<div style=\"font-size:15px;line-height:1.55;color:#64748b;margin:0 0 22px\">Evertrust st\u00f6ttar organisationer med GDPR, informationss\u00e4kerhet, konsekvensbed\u00f6mningar och praktisk implementering.<\/div>\n<p><a href=\"https:\/\/evertrust.se\/en\/\" style=\"display:inline-flex;align-items:center;gap:9px;border-radius:10px;font-weight:700;font-size:15px;text-decoration:none;padding:13px 22px 13px 26px;background:#2D8F27;color:#ffffff\">Bes\u00f6k<\/a><\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<h2 id=\"kort-sagt\" tabindex=\"-1\">Kort sagt<\/h2>\n<ul>\n<li><strong>ISO 27001<\/strong> g\u00e4ller alla informationstillg\u00e5ngar och bygger p\u00e5 konfidentialitet, riktighet och tillg\u00e4nglighet. <strong>ISO 27701<\/strong> g\u00e4ller behandlingen av personuppgifter och utg\u00e5r fr\u00e5n riskerna f\u00f6r de registrerade.<\/li>\n<li>Sedan 2025 \u00e5rs utg\u00e5va \u00e4r ISO 27701 en <strong>frist\u00e5ende standard<\/strong>. Ni kan certifiera er mot den utan ett ISO 27001-certifikat.<\/li>\n<li>Den som har ett certifikat enligt ISO 27701:2019 m\u00e5ste <strong>g\u00e5 \u00f6ver till 2025 \u00e5rs utg\u00e5va senast i oktober 2028<\/strong>.<\/li>\n<li>Ingen av standarderna g\u00f6r er GDPR-efterlevande p\u00e5 egen hand. R\u00e4ttslig grund, registrerades r\u00e4ttigheter, tredjelands\u00f6verf\u00f6ringar och konsekvensbed\u00f6mningar kr\u00e4ver juridisk analys.<\/li>\n<li>Den mest h\u00e5llbara v\u00e4gen f\u00f6r de flesta \u00e4r ett integrerat ledningssystem: ISO 27001 som grund och ISO 27701 f\u00f6r dataskyddet.<\/li>\n<\/ul>\n<h2 id=\"innehallsforteckning\" tabindex=\"-1\">Inneh\u00e5llsf\u00f6rteckning<\/h2>\n<ul>\n<li><a href=\"#tva-standarder-med-olika-skyddsobjekt\">Tv\u00e5 standarder med olika skyddsobjekt<\/a><\/li>\n<li><a href=\"#skillnaderna-i-en-tabell\">Skillnaderna i en tabell<\/a><\/li>\n<li><a href=\"#vad-2025-ars-utgava-av-iso-27701-andrade\">Vad 2025 \u00e5rs utg\u00e5va av ISO 27701 \u00e4ndrade<\/a><\/li>\n<li><a href=\"#kravs-iso-27001-for-att-certifiera-sig-mot-iso-27701\">Kr\u00e4vs ISO 27001 f\u00f6r att certifiera sig mot ISO 27701?<\/a><\/li>\n<li><a href=\"#sa-hanger-standarderna-ihop-med-gdpr\">S\u00e5 h\u00e4nger standarderna ihop med GDPR<\/a><\/li>\n<li><a href=\"#vilken-standard-ska-ni-borja-med\">Vilken standard ska ni b\u00f6rja med?<\/a><\/li>\n<li><a href=\"#sa-gar-certifieringen-till\">S\u00e5 g\u00e5r certifieringen till<\/a><\/li>\n<li><a href=\"#ett-ledningssystem-tva-standarder\">Ett ledningssystem, tv\u00e5 standarder<\/a><\/li>\n<li><a href=\"#sa-ser-vi-pa-valet-mellan-iso-27001-och-iso-27701\">S\u00e5 ser vi p\u00e5 valet mellan ISO 27001 och ISO 27701<\/a><\/li>\n<li><a href=\"#vanliga-fragor\">Vanliga fr\u00e5gor<\/a><\/li>\n<li><a href=\"#kallor\">K\u00e4llor<\/a><\/li>\n<\/ul>\n<h2 id=\"tva-standarder-med-olika-skyddsobjekt\" tabindex=\"-1\">Tv\u00e5 standarder med olika skyddsobjekt<\/h2>\n<p>Enligt ISO \u00e4r <a href=\"https:\/\/www.iso.org\/standard\/27001\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO\/IEC 27001<\/a> v\u00e4rldens mest k\u00e4nda standard f\u00f6r ledningssystem f\u00f6r informationss\u00e4kerhet (LIS, p\u00e5 engelska ISMS). Den anger vilka krav ledningssystemet ska uppfylla och hj\u00e4lper organisationer av alla storlekar att uppr\u00e4tta, inf\u00f6ra, underh\u00e5lla och st\u00e4ndigt f\u00f6rb\u00e4ttra det. Utg\u00e5ngspunkten \u00e4r informationens konfidentialitet, riktighet och tillg\u00e4nglighet, oavsett om det g\u00e4ller k\u00e4llkod, avtal, ekonomidata eller kundregister.<\/p>\n<p>ISO\/IEC 27701 har ett smalare men djupare fokus. SIS beskriver att standarden st\u00e4ller krav p\u00e5 och ger v\u00e4gledning f\u00f6r ett <a href=\"https:\/\/www.sis.se\/iso27001\/gdpr-och-standarder\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ledningssystem f\u00f6r informationss\u00e4kerhet och dataskydd<\/a> f\u00f6r hantering av personuppgifter. P\u00e5 engelska kallas det PIMS, Privacy Information Management System. Standarden riktar sig enligt SIS produktbeskrivning till <a href=\"https:\/\/www.sis.se\/en\/produkter\/information-technology-office-machines\/it-security\/ss-en-isoiec-277012025\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">PII-ansvariga och PII-bitr\u00e4den<\/a> av alla typer och storlekar. I GDPR:s spr\u00e5k \u00e4r det personuppgiftsansvariga och personuppgiftsbitr\u00e4den.<\/p>\n<p>I praktiken \u00e4r skillnaden att ISO 27001 fr\u00e5gar vad som h\u00e4nder med <em>er<\/em> om informationen l\u00e4cker, f\u00f6rvanskas eller blir otillg\u00e4nglig. ISO 27701 fr\u00e5gar vad som h\u00e4nder med <em>individen<\/em>. En risk som \u00e4r liten f\u00f6r verksamheten kan vara allvarlig f\u00f6r den registrerade, till exempel n\u00e4r en HR-mapp med sjukfr\u00e5nvaro delas f\u00f6r brett. D\u00e4rf\u00f6r ger ISO 27701 andra prioriteringar i riskarbetet, \u00e4ven n\u00e4r de tekniska \u00e5tg\u00e4rderna \u00e4r desamma.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/11\/1794399011395_Jamforelse-av-standardernas-skyddsobjekt-och-risker.jpeg\" alt=\"J\u00e4mf\u00f6relse av standardernas skyddsobjekt och risker\"><\/p>\n<p>SIS konstaterar att <a href=\"https:\/\/www.sis.se\/iso27001\/dettariso27001\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO 27000-serien<\/a> har byggts ut med dataskydd eftersom i princip alla organisationer har information som inneh\u00e5ller personuppgifter. Utvidgningen f\u00f6ljer allts\u00e5 av verkligheten, inte av en trend.<\/p>\n<h2 id=\"skillnaderna-i-en-tabell\" tabindex=\"-1\">Skillnaderna i en tabell<\/h2>\n<table>\n<thead>\n<tr>\n<th><\/th>\n<th>ISO\/IEC 27001:2022<\/th>\n<th>ISO\/IEC 27701:2025<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Ledningssystem<\/td>\n<td>Informationss\u00e4kerhet (LIS\/ISMS)<\/td>\n<td>Dataskydd och personuppgifter (PIMS)<\/td>\n<\/tr>\n<tr>\n<td>Skyddsobjekt<\/td>\n<td>Alla informationstillg\u00e5ngar<\/td>\n<td>Personuppgifter och de registrerade<\/td>\n<\/tr>\n<tr>\n<td>Riskperspektiv<\/td>\n<td>Konsekvenser f\u00f6r organisationen<\/td>\n<td>Konsekvenser f\u00f6r de fysiska personer som uppgifterna r\u00f6r<\/td>\n<\/tr>\n<tr>\n<td>Roller<\/td>\n<td>Ingen rolldefinition i dataskyddsmening<\/td>\n<td>Ni definierar er roll som personuppgiftsansvarig, bitr\u00e4de eller b\u00e5da<\/td>\n<\/tr>\n<tr>\n<td>\u00c5tg\u00e4rder<\/td>\n<td>93 s\u00e4kerhets\u00e5tg\u00e4rder i fyra kategorier<\/td>\n<td>Egna \u00e5tg\u00e4rdstabeller f\u00f6r ansvariga, bitr\u00e4den och gemensamma \u00e5tg\u00e4rder<\/td>\n<\/tr>\n<tr>\n<td>Koppling till GDPR<\/td>\n<td>Indirekt, via s\u00e4kerheten i behandlingen<\/td>\n<td>Direkt, med en mappningsbilaga mot GDPR<\/td>\n<\/tr>\n<tr>\n<td>Certifiering<\/td>\n<td>Frist\u00e5ende<\/td>\n<td>Frist\u00e5ende sedan 2025, kan integreras med ISO 27001<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<p>Uppgifterna om \u00e5tg\u00e4rdernas struktur kommer fr\u00e5n <a href=\"https:\/\/www.iso.org\/publication\/PUB200277.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO:s beskrivning av standardpaketet<\/a> f\u00f6r informationss\u00e4kerhet och dataskydd. D\u00e4r framg\u00e5r att ISO 27001:2022 har 93 \u00e5tg\u00e4rder i fyra kategorier: organisatoriska, personrelaterade, fysiska och tekniska. ISO 27701:2025 har d\u00e4remot separata \u00e5tg\u00e4rdsupps\u00e4ttningar f\u00f6r personuppgiftsansvariga, f\u00f6r bitr\u00e4den och f\u00f6r b\u00e5da rollerna.<\/p>\n<p>Rollfr\u00e5gan \u00e4r viktig. En SaaS-leverant\u00f6r \u00e4r ofta bitr\u00e4de f\u00f6r kundernas data men personuppgiftsansvarig f\u00f6r sin egen personal och sina egna kunder. Med ISO 27701 m\u00e5ste ni redovisa b\u00e5da rollerna och v\u00e4lja \u00e5tg\u00e4rder f\u00f6r var och en. Det tvingar fram en kartl\u00e4ggning som m\u00e5nga organisationer skjuter upp, och just d\u00e4rf\u00f6r \u00e4r den v\u00e4rdefull.<\/p>\n<h2 id=\"vad-2025-ars-utgava-av-iso-27701-andrade\" tabindex=\"-1\">Vad 2025 \u00e5rs utg\u00e5va av ISO 27701 \u00e4ndrade<\/h2>\n<p>2019 \u00e5rs utg\u00e5va var ett till\u00e4gg. Den byggde ut kraven i ISO 27001 och v\u00e4gledningen i ISO 27002 med dataskydd, och den gick inte att certifiera mot utan ett ledningssystem enligt ISO 27001. Det har \u00e4ndrats.<\/p>\n<p>Av <a href=\"https:\/\/cdn.standards.iteh.ai\/samples\/sist\/sist-en-iso-iec-27701-2025\/a848bc3cf9384b97a58ffeebec4b0212\/sist-en-iso-iec-27701-2025.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">standardtextens inledning<\/a> framg\u00e5r tre saker:<\/p>\n<ol>\n<li><strong>Frist\u00e5ende ledningssystemstandard.<\/strong> Dokumentet \u00e4r omarbetat med egna krav p\u00e5 ledningssystemet och ers\u00e4tter den tekniskt reviderade f\u00f6rsta utg\u00e5van fr\u00e5n 2019.<\/li>\n<li><strong>Mappningar.<\/strong> Standarden mappas mot ISO\/IEC 29100, ISO\/IEC 27018, ISO\/IEC 29151 och EU:s dataskyddsf\u00f6rordning.<\/li>\n<li><strong>Integration.<\/strong> Organisationen kan anpassa eller integrera sitt PIMS med andra ledningssystem, s\u00e4rskilt med ett ledningssystem enligt ISO 27001.<\/li>\n<\/ol>\n<p>I Sverige gavs den ut som SS-EN ISO\/IEC 27701:2025. Enligt SIS fastst\u00e4lldes den den <a href=\"https:\/\/www.sis.se\/en\/produkter\/information-technology-office-machines\/it-security\/ss-en-isoiec-277012025\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">28 oktober 2025<\/a>. Den ers\u00e4tter SS-EN ISO\/IEC 27701:2021, har 73 sidor och kostade 1 737 kr vid publiceringen.<\/p>\n<p>ISO betonar att den nya utg\u00e5van visserligen st\u00e5r p\u00e5 egna ben men fortfarande h\u00e4nger ihop med <a href=\"https:\/\/www.iso.org\/publication\/PUB200277.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO 27001:2022 och ISO 27002:2022<\/a>, b\u00e5de i struktur och terminologi, s\u00e5 att systemen kan integreras s\u00f6ml\u00f6st. Om ni redan har ett LIS beh\u00f6ver ni allts\u00e5 inte bygga ett parallellt system. Det handlar om att bygga ut det ni har. Mer om f\u00f6r\u00e4ndringarna i 27002 och 27001 finns i v\u00e5r genomg\u00e5ng av <a href=\"https:\/\/evertrust.se\/en\/article\/sakerhetsstandarden-iso-27002-och-iso-27001-har-uppdaterats\/\" target=\"_blank\" rel=\"noopener\">de uppdaterade s\u00e4kerhetsstandarderna<\/a>.<\/p>\n<h2 id=\"kravs-iso-27001-for-att-certifiera-sig-mot-iso-27701\" tabindex=\"-1\">Kr\u00e4vs ISO 27001 f\u00f6r att certifiera sig mot ISO 27701?<\/h2>\n<p>Nej, inte l\u00e4ngre. Swedac, Sveriges ackrediteringsorgan, skriver att en organisation numera kan certifiera sitt ledningssystem <a href=\"https:\/\/www.swedac.se\/amnesomraden\/ledningssystem-for-informationssakerhet\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">direkt mot ISO\/IEC 27701<\/a> utan att samtidigt vara certifierad enligt ISO\/IEC 27001.<\/p>\n<p>Att det \u00e4r m\u00f6jligt betyder inte att det alltid \u00e4r klokt. Swedac framh\u00e5ller p\u00e5 samma sida att personuppgiftshantering och informationss\u00e4kerhet h\u00e4nger n\u00e4ra ihop. Skyddet av personuppgifternas konfidentialitet, riktighet och tillg\u00e4nglighet \u00e4r en f\u00f6ruts\u00e4ttning f\u00f6r ett effektivt dataskyddsarbete. Ett PIMS utan ordnad informationss\u00e4kerhet vilar p\u00e5 en svag grund: beh\u00f6righeter, loggning, kontinuitet och leverant\u00f6rsstyrning m\u00e5ste fungera innan dataskyddet kan g\u00f6ra det.<\/p>\n<p>SIS \u00e4r \u00e4nnu tydligare och rekommenderar att man till\u00e4mpar <a href=\"https:\/\/www.sis.se\/iso27001\/standarder-inom-iso-27000-serien\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO\/IEC 27001 med st\u00f6d av ISO\/IEC 27701<\/a>, oavsett verksamhetens art och storlek. Inom vissa gr\u00e4nser g\u00e5r det att utesluta krav och \u00e5tg\u00e4rder som inte \u00e4r relevanta.<\/p>\n<div style=\"position: relative;width: 100%;height: 400px\">\n             <iframe src=\"https:\/\/www.youtube.com\/embed\/QbNWsGP2H48\" title=\"YouTube Video\" style=\"position: absolute;left: 0;top: 0;height: 100%;width: 100%;border: none\" loading=\"lazy\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture\" allowfullscreen><\/iframe>\n          <\/div>\n<p>F\u00f6r den som redan har certifikat g\u00e4ller enligt Swedac att organisationer certifierade enligt ISO 27701:2019 ska ha g\u00e5tt \u00f6ver till 2025 \u00e5rs utg\u00e5va senast i oktober 2028. \u00d6verg\u00e5ngen kr\u00e4ver mer \u00e4n att byta versionsnummer i dokumenten. Den nya strukturen inneb\u00e4r att kraven i kapitel 4\u201310 ska uppfyllas f\u00f6r PIMS i sig, med egen kontext, eget lednings\u00e5tagande och egna m\u00e5l.<\/p>\n<h2 id=\"sa-hanger-standarderna-ihop-med-gdpr\" tabindex=\"-1\">S\u00e5 h\u00e4nger standarderna ihop med GDPR<\/h2>\n<p>SIS beskriver att b\u00e5de <a href=\"https:\/\/www.sis.se\/iso27001\/gdpr-och-standarder\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO 27001 och ISO 27701<\/a> hj\u00e4lper organisationer att f\u00f6lja dataskyddsf\u00f6rordningen. Det st\u00e4mmer, men det g\u00e4ller att f\u00f6rst\u00e5 hur l\u00e5ngt de r\u00e4cker.<\/p>\n<p>ISO 27001 tr\u00e4ffar fr\u00e4mst GDPR:s krav p\u00e5 s\u00e4kerhet i behandlingen. Men f\u00f6rordningen kr\u00e4ver mycket som en s\u00e4kerhetsstandard inte fr\u00e5gar efter. Det g\u00e4ller till exempel r\u00e4ttslig grund f\u00f6r varje behandling, rutiner f\u00f6r de registrerades r\u00e4ttigheter, regler f\u00f6r \u00f6verf\u00f6ring till tredjeland, anm\u00e4lan av personuppgiftsincidenter till tillsynsmyndigheten inom 72 timmar och konsekvensbed\u00f6mningar vid h\u00f6g risk. Allt detta st\u00e5r i <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/introduktion-till-gdpr\/dataskyddsforordningen-i-fulltext\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">dataskyddsf\u00f6rordningens fulltext hos IMY<\/a>. ISO 27701 t\u00e4cker betydligt mer av detta genom \u00e5tg\u00e4rderna f\u00f6r ansvariga och bitr\u00e4den och genom mappningen mot GDPR. Sj\u00e4lva bed\u00f6mningarna \u00e4r \u00e4nd\u00e5 juridiska: om ni har en giltig r\u00e4ttslig grund, om ett intresse v\u00e4ger tyngre \u00e4n integriteten eller om en \u00f6verf\u00f6ring \u00e4r laglig.<\/p>\n<p>Tv\u00e5 saker brukar skapa missf\u00f6rst\u00e5nd:<\/p>\n<ul>\n<li><strong>Ett ISO-certifikat \u00e4r inte en GDPR-certifiering.<\/strong> Certifieringar enligt artikel 42 i GDPR bygger p\u00e5 <a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/uppforandekoder-och-certifieringar\/certifieringar\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">kriterier som godk\u00e4nts av beh\u00f6rig tillsynsmyndighet<\/a> eller av Europeiska dataskyddsstyrelsen. Ett ISO-certifikat visar att ni har ett fungerande ledningssystem och \u00e4r ett starkt underlag, men det \u00e4r inget juridiskt intyg.<\/li>\n<li><strong>Ansvaret ligger kvar.<\/strong> Inte ens en godk\u00e4nd GDPR-certifiering minskar den personuppgiftsansvariges eller bitr\u00e4dets ansvar att f\u00f6lja f\u00f6rordningen. Det framg\u00e5r av artikel 42.4.<\/li>\n<\/ul>\n<p>Slutsatsen \u00e4r inte att standarderna \u00e4r otillr\u00e4ckliga. De ger den struktur som g\u00f6r GDPR-arbetet styrbart: tydliga roller, riskmetoder, m\u00e4tbara m\u00e5l, internrevision och ledningens genomg\u00e5ng. Juridiken ger inneh\u00e5llet. Den som kombinerar b\u00e5da f\u00e5r ett system som b\u00e5de revisorn och IMY kan f\u00f6lja. F\u00f6r konsekvensbed\u00f6mningarna har vi beskrivit metoden i <a href=\"https:\/\/evertrust.se\/en\/dpia-steg\/\" target=\"_blank\" rel=\"noopener\">DPIA steg f\u00f6r steg<\/a>, och f\u00f6r bitr\u00e4desfr\u00e5gorna i v\u00e5r guide om <a href=\"https:\/\/evertrust.se\/en\/leverantorsbedomning-gdpr\/\" target=\"_blank\" rel=\"noopener\">leverant\u00f6rsbed\u00f6mning enligt GDPR<\/a>.<\/p>\n<h2 id=\"vilken-standard-ska-ni-borja-med\" tabindex=\"-1\">Vilken standard ska ni b\u00f6rja med?<\/h2>\n<p>Utg\u00e5 fr\u00e5n vad era kunder, er styrelse och era risker faktiskt kr\u00e4ver. Fyra situationer \u00e5terkommer:<\/p>\n<p><strong>Ni levererar IT-tj\u00e4nster eller SaaS till f\u00f6retag.<\/strong> Kunderna fr\u00e5gar f\u00f6rst efter ISO 27001, eftersom det \u00e4r det etablerade beviset f\u00f6r informationss\u00e4kerhet i upphandlingar. Som bitr\u00e4de f\u00f6r kundernas personuppgifter f\u00e5r ni d\u00e4refter stor nytta av ISO 27701. Standardtexten pekar sj\u00e4lv p\u00e5 att efterlevnad ger bevis p\u00e5 hur ni hanterar personuppgifter, n\u00e5got som kan <a href=\"https:\/\/cdn.standards.iteh.ai\/samples\/sist\/sist-en-iso-iec-27701-2025\/a848bc3cf9384b97a58ffeebec4b0212\/sist-en-iso-iec-27701-2025.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">underl\u00e4tta avtal med aff\u00e4rspartner<\/a>.<\/p>\n<p><strong>Ni hanterar k\u00e4nsliga uppgifter i stor skala.<\/strong> Swedac lyfter fram v\u00e5rd, finanssektorn och forskning och utveckling som omr\u00e5den d\u00e4r <a href=\"https:\/\/www.swedac.se\/amnesomraden\/ledningssystem-for-informationssakerhet\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">certifiering \u00e4r s\u00e4rskilt relevant<\/a>. D\u00e4r \u00e4r personuppgifterna ofta sj\u00e4lva k\u00e4rnan i verksamheten, och b\u00e5da standarderna i ett integrerat system \u00e4r det rimliga m\u00e5let.<\/p>\n<p><strong>Ni har redan ISO 27001.<\/strong> Bygg ut med ISO 27701. Riskmetoden, dokumentstyrningen, internrevisionen och ledningens genomg\u00e5ng finns redan. Det som tillkommer \u00e4r rollkartl\u00e4ggning, riskbed\u00f6mning ur de registrerades perspektiv, ett ut\u00f6kat uttalande om till\u00e4mplighet och dataskydds\u00e5tg\u00e4rderna.<\/p>\n<p><strong>Ert fr\u00e4msta problem \u00e4r dataskydd, inte s\u00e4kerhet.<\/strong> D\u00e5 kan ni b\u00f6rja med ISO 27701 frist\u00e5ende. R\u00e4kna \u00e4nd\u00e5 med att s\u00e4kerhets\u00e5tg\u00e4rderna m\u00e5ste vara p\u00e5 plats f\u00f6r att dataskyddet ska h\u00e5lla.<\/p>\n<p>Oavsett v\u00e4g b\u00f6rjar arbetet med att j\u00e4mf\u00f6ra nul\u00e4get mot kraven. V\u00e5r artikel om <a href=\"https:\/\/evertrust.se\/en\/iso-27001-gap-analys\/\" target=\"_blank\" rel=\"noopener\">ISO 27001 gap-analys<\/a> visar hur en s\u00e5dan genomlysning g\u00e5r till, och samma metod fungerar f\u00f6r kraven i ISO 27701.<\/p>\n<h2 id=\"sa-gar-certifieringen-till\" tabindex=\"-1\">S\u00e5 g\u00e5r certifieringen till<\/h2>\n<p>Processen \u00e4r i grunden densamma f\u00f6r b\u00e5da standarderna. Enligt SIS kr\u00e4vs f\u00f6r ett <a href=\"https:\/\/www.sis.se\/iso27001\/dettariso27001\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO 27001-certifikat<\/a> att ledningssystemet uppfyller kraven, \u00e4r en naturlig del av den dagliga verksamheten, \u00e4r beskrivet och underh\u00e5lls l\u00f6pande, att det finns ett uttalande om till\u00e4mplighet och att verksamheten granskas av ett ackrediterat certifieringsorgan. Certifiering mot SS-EN ISO\/IEC 27701 f\u00f6ljer en likartad process.<\/p>\n<ol>\n<li><strong>Avgr\u00e4nsa och kartl\u00e4gg.<\/strong> Best\u00e4m omfattningen och, f\u00f6r ISO 27701, er roll per behandling. H\u00e4r brister m\u00e5nga: omfattningen blir f\u00f6r vid f\u00f6r att g\u00e5 att styra, eller f\u00f6r sn\u00e4v f\u00f6r att kunderna ska bry sig. Vi g\u00f6r den genomlysningen i v\u00e5ra tj\u00e4nster f\u00f6r <a href=\"https:\/\/evertrust.se\/en\/tjanster-gap-analyser\/\" target=\"_blank\" rel=\"noopener\">GDPR-granskning och s\u00e4kerhetsgranskning<\/a>.<\/li>\n<li><strong>Bed\u00f6m risker.<\/strong> F\u00f6r ISO 27701 ska konsekvenserna f\u00f6r de registrerade v\u00e4gas in, inte bara f\u00f6r verksamheten. Behandlingar med h\u00f6g risk kr\u00e4ver dessutom en konsekvensbed\u00f6mning enligt GDPR, och den kan vi genomf\u00f6ra \u00e5t er.<\/li>\n<li><strong>V\u00e4lj och inf\u00f6r \u00e5tg\u00e4rder.<\/strong> Uppr\u00e4tta ett uttalande om till\u00e4mplighet som t\u00e4cker b\u00e5de s\u00e4kerhets\u00e5tg\u00e4rderna och dataskydds\u00e5tg\u00e4rderna, och motivera varje undantag. Hur ledningssystemet byggs upp i praktiken beskriver vi i <a href=\"https:\/\/evertrust.se\/en\/iso-27001-inforande\/\" target=\"_blank\" rel=\"noopener\">inf\u00f6ra ISO 27001 steg f\u00f6r steg<\/a>.<\/li>\n<li><strong>Dokumentera och bevisa.<\/strong> Revisorn vill se att systemet lever, inte bara att det finns. L\u00e4s mer om vad som granskas i <a href=\"https:\/\/evertrust.se\/en\/iso-27001-krav\/\" target=\"_blank\" rel=\"noopener\">ISO 27001 krav f\u00f6r beslutsfattare<\/a>.<\/li>\n<li><strong>Granska internt.<\/strong> Internrevision och ledningens genomg\u00e5ng ska vara genomf\u00f6rda f\u00f6re den externa revisionen. Anv\u00e4nd g\u00e4rna v\u00e5r <a href=\"https:\/\/evertrust.se\/en\/internrevision-iso-27001\/\" target=\"_blank\" rel=\"noopener\">checklista f\u00f6r internrevision<\/a>.<\/li>\n<li><strong>Extern certifiering.<\/strong> Det steget ligger hos ett ackrediterat certifieringsorgan. Enligt <a href=\"https:\/\/www.swedac.se\/amnesomraden\/ledningssystem-for-informationssakerhet\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Swedac<\/a> g\u00f6rs den f\u00f6rsta bed\u00f6mningen i tv\u00e5 steg, uppf\u00f6ljning sker p\u00e5 plats minst en g\u00e5ng per \u00e5r och efter h\u00f6gst tre \u00e5r g\u00f6rs en grundligare utv\u00e4rdering inf\u00f6r n\u00e4sta tre\u00e5rsperiod.<\/li>\n<\/ol>\n<h2 id=\"ett-ledningssystem-tva-standarder\" tabindex=\"-1\">Ett ledningssystem, tv\u00e5 standarder<\/h2>\n<p>Evertrust arbetar med dataskydd, informationss\u00e4kerhet och IT-juridik under samma tak. Vi g\u00f6r GAP-analyser, konsekvensbed\u00f6mningar och compliance-program och kan ta rollen som externt dataskyddsombud, GDPR-koordinator, informationss\u00e4kerhetsexpert eller interim compliance-resurs medan ni bygger upp er egen organisation.<\/p>\n<p><img decoding=\"async\" src=\"https:\/\/evertrust.se\/wp-content\/uploads\/2026\/08\/1786093780170_evertrust.jpg\" alt=\"Evertrust\"><\/p>\n<p>F\u00f6r det l\u00f6pande arbetet har vi tagit fram <a href=\"https:\/\/evertrust.se\/en\/plattform\/\" target=\"_blank\" rel=\"noopener\">Trustview, v\u00e5r GRC-plattform<\/a>, som \u00e4r byggd av jurister och experter f\u00f6r regelefterlevnad enligt bland annat GDPR och ISO 27000. Vill ni diskutera var ni st\u00e5r i dag? L\u00e4s om v\u00e5ra <a href=\"https:\/\/evertrust.se\/en\/radgivning-och-konsulttjanster\/\" target=\"_blank\" rel=\"noopener\">r\u00e5dgivnings- och konsulttj\u00e4nster<\/a>.<\/p>\n<h2 id=\"sa-ser-vi-pa-valet-mellan-iso-27001-och-iso-27701\" tabindex=\"-1\">S\u00e5 ser vi p\u00e5 valet mellan ISO 27001 och ISO 27701<\/h2>\n<blockquote>\n<p>Fr\u00e5gan vi oftast f\u00e5r \u00e4r vilken av standarderna man ska v\u00e4lja. V\u00e5r erfarenhet \u00e4r att fr\u00e5gan \u00e4r fel st\u00e4lld. Den verkliga fr\u00e5gan \u00e4r hur ni f\u00e5r informationss\u00e4kerheten och dataskyddet att styras som en helhet.<\/p>\n<p>Att ISO 27701 blev frist\u00e5ende \u00e4r bra, eftersom det s\u00e4nker tr\u00f6skeln f\u00f6r organisationer d\u00e4r dataskyddet \u00e4r det mest akuta. Men en ny frihet ger ocks\u00e5 nya s\u00e4tt att g\u00f6ra fel. Tv\u00e5 separata system med var sin riskmetod, var sin \u00e4gare och var sin dokumentation blir dyra att underh\u00e5lla och sv\u00e5ra att f\u00f6rsvara inf\u00f6r en revisor eller IMY.<\/p>\n<p>Vi tycker att den juridiska analysen och det s\u00e4kerhetstekniska arbetet ska g\u00f6ras tillsammans fr\u00e5n f\u00f6rsta dagen. En registerf\u00f6rteckning som inte h\u00e4nger ihop med tillg\u00e5ngsinventeringen, eller en DPIA som inte syns i riskregistret, \u00e4r tecken p\u00e5 att systemen lever i olika rum. D\u00e4rf\u00f6r kombinerar vi juridisk specialistkompetens med praktiska och begripliga l\u00f6sningar, och d\u00e4rf\u00f6r har vi byggt Trustview s\u00e5 att ett gemensamt ledningssystem kan styras p\u00e5 ett st\u00e4lle.<\/p>\n<p><em>Jesper<\/em><\/p>\n<\/blockquote>\n<h2 id=\"vanliga-fragor\" tabindex=\"-1\">Vanliga fr\u00e5gor<\/h2>\n<h3 id=\"ar-iso-27701-en-ersattning-for-iso-27001\" tabindex=\"-1\">\u00c4r ISO 27701 en ers\u00e4ttning f\u00f6r ISO 27001?<\/h3>\n<p>Nej. ISO 27701 styr hanteringen av personuppgifter och ISO 27001 styr informationss\u00e4kerheten f\u00f6r alla informationstillg\u00e5ngar. Sedan 2025 kan ISO 27701 certifieras frist\u00e5ende, men den \u00e4r fortfarande byggd f\u00f6r att integreras med ISO 27001.<\/p>\n<h3 id=\"blir-vi-gdpr-efterlevande-med-en-iso-27701-certifiering\" tabindex=\"-1\">Blir vi GDPR-efterlevande med en ISO 27701-certifiering?<\/h3>\n<p>Certifieringen visar att ni har ett fungerande ledningssystem f\u00f6r dataskydd, och det \u00e4r ett starkt underlag. Den ers\u00e4tter inte de juridiska bed\u00f6mningarna av r\u00e4ttslig grund, \u00f6verf\u00f6ringar och konsekvensbed\u00f6mningar. Enligt artikel 42.4 i GDPR minskar inte ens en GDPR-certifiering ert ansvar att f\u00f6lja f\u00f6rordningen.<\/p>\n<h3 id=\"vad-hander-med-vart-certifikat-enligt-iso-277012019\" tabindex=\"-1\">Vad h\u00e4nder med v\u00e5rt certifikat enligt ISO 27701:2019?<\/h3>\n<p>Det g\u00e4ller fram till \u00f6verg\u00e5ngsperiodens slut, och ni beh\u00f6ver ha g\u00e5tt \u00f6ver till 2025 \u00e5rs utg\u00e5va senast i oktober 2028. Planera \u00f6verg\u00e5ngen i god tid, eftersom den nya utg\u00e5van har egna krav p\u00e5 ledningssystemet i kapitel 4\u201310. Kontakta ert certifieringsorgan f\u00f6r en tidplan f\u00f6r \u00f6verg\u00e5ngsrevisionen.<\/p>\n<h3 id=\"kan-vi-utesluta-delar-av-standarderna\" tabindex=\"-1\">Kan vi utesluta delar av standarderna?<\/h3>\n<p>Kraven p\u00e5 sj\u00e4lva ledningssystemet g\u00e5r inte att v\u00e4lja bort. Enligt SIS kan ni inom vissa gr\u00e4nser utesluta \u00e5tg\u00e4rder som inte \u00e4r relevanta. Varje undantag ska motiveras i uttalandet om till\u00e4mplighet.<\/p>\n<h3 id=\"vilken-standard-fragar-kunderna-efter-i-upphandlingar\" tabindex=\"-1\">Vilken standard fr\u00e5gar kunderna efter i upphandlingar?<\/h3>\n<p>ISO 27001 \u00e4r det etablerade beviset f\u00f6r informationss\u00e4kerhet. F\u00f6r leverant\u00f6rer som behandlar personuppgifter \u00e5t kunder visar ISO 27701 dessutom hur behandlingen styrs, vilket enligt standarden sj\u00e4lv kan underl\u00e4tta avtal med aff\u00e4rspartner.<\/p>\n<h2 id=\"kallor\" tabindex=\"-1\">K\u00e4llor<\/h2>\n<ul>\n<li><a href=\"https:\/\/www.iso.org\/standard\/27001\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO: ISO\/IEC 27001:2022 Information security management systems<\/a><\/li>\n<li><a href=\"https:\/\/www.iso.org\/publication\/PUB200277.html\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">ISO: Information Security &amp; Privacy Compliance Package<\/a><\/li>\n<li><a href=\"https:\/\/www.sis.se\/iso27001\/gdpr-och-standarder\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SIS: GDPR och standarder<\/a><\/li>\n<li><a href=\"https:\/\/www.sis.se\/iso27001\/dettariso27001\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SIS: Detta \u00e4r ISO 27001<\/a><\/li>\n<li><a href=\"https:\/\/www.sis.se\/iso27001\/standarder-inom-iso-27000-serien\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SIS: Standarder inom ISO 27000-serien<\/a><\/li>\n<li><a href=\"https:\/\/www.sis.se\/en\/produkter\/information-technology-office-machines\/it-security\/ss-en-isoiec-277012025\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SIS: SS-EN ISO\/IEC 27701:2025<\/a><\/li>\n<li><a href=\"https:\/\/www.swedac.se\/amnesomraden\/ledningssystem-for-informationssakerhet\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">Swedac: Ledningssystem f\u00f6r informationss\u00e4kerhet<\/a><\/li>\n<li><a href=\"https:\/\/cdn.standards.iteh.ai\/samples\/sist\/sist-en-iso-iec-27701-2025\/a848bc3cf9384b97a58ffeebec4b0212\/sist-en-iso-iec-27701-2025.pdf\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">SIST EN ISO\/IEC 27701:2025, utdrag ur standardtexten<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/introduktion-till-gdpr\/dataskyddsforordningen-i-fulltext\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Dataskyddsf\u00f6rordningen i fulltext<\/a><\/li>\n<li><a href=\"https:\/\/www.imy.se\/verksamhet\/dataskydd\/det-har-galler-enligt-gdpr\/uppforandekoder-och-certifieringar\/certifieringar\/\" rel=\"nofollow noopener noreferrer\" target=\"_blank\">IMY: Certifieringar enligt GDPR<\/a><\/li>\n<\/ul>\n<h2 id=\"rekommendationer\" tabindex=\"-1\">Rekommendationer<\/h2>\n<ul>\n<li><a href=\"https:\/\/evertrust.se\/en\/article-tag\/iso-iec-27002-riktlinjer-for-informationssakerhetskontroller\/\" target=\"_blank\" rel=\"noopener\">ISO\/IEC 27002 &#8211; Riktlinjer f\u00f6r informationss\u00e4kerhetskontroller<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/iso-27001-gap-analys\/\" target=\"_blank\" rel=\"noopener\">ISO 27001 gap-analys: s\u00e5 g\u00f6r ni den steg f\u00f6r steg<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/iso-27001-inforande\/\" target=\"_blank\" rel=\"noopener\">Inf\u00f6ra ISO 27001: steg f\u00f6r steg till ett ledningssystem som fungerar<\/a><\/li>\n<li><a href=\"https:\/\/evertrust.se\/en\/iso-27001-krav\/\" target=\"_blank\" rel=\"noopener\">De tre dokumenten revisorn kr\u00e4ver: ISO 27001 krav f\u00f6r beslutsfattare<\/a><\/li>\n<\/ul>","protected":false},"excerpt":{"rendered":"<p>ISO 27001 skyddar all information, ISO 27701 styr hanteringen av personuppgifter. Se skillnaderna, 2025 \u00e5rs \u00e4ndringar, kopplingen till GDPR och var ni b\u00f6rjar.<\/p>","protected":false},"author":2,"featured_media":8690,"comment_status":"closed","ping_status":"","sticky":false,"template":"","format":"standard","meta":{"content-type":"","site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":""},"categories":[107],"tags":[9],"class_list":["post-8689","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sverige","tag-gdpr-specialist"],"acf":[],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8689","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/comments?post=8689"}],"version-history":[{"count":1,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8689\/revisions"}],"predecessor-version":[{"id":8692,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/posts\/8689\/revisions\/8692"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media\/8690"}],"wp:attachment":[{"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/media?parent=8689"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/categories?post=8689"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/evertrust.se\/en\/wp-json\/wp\/v2\/tags?post=8689"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}